Grav Login OAuth eklentisinde kritik kimlik doğrulama açığı
Yapay zeka üretimi15.10.2026
- CVE
- CVE-2026-109321
- Ciddiyet
- Kritik (CVSS 9.1)
- Firma / ürün
- - / -
Özet
Grav Login OAuth eklentisinin 1.4.3 öncesi sürümlerinde, OAuth hesabı oluşturulurken belirli bir kullanıcı adı ve şifre kullanılmaktadır; bu şifre, sağlayıcı kimliğinin tuzsuz MD5 hash'i olarak ayarlanır ve parola girişi devre dışı bırakılmaz.
Ayrıntılar
NVD kaydına göre, Grav Login OAuth eklentisinin (grav-plugin-login-oauth) 1.4.3 öncesi sürümlerinde OAuth hesabı oluşturulurken, sağlayıcı kimliği üzerinden deterministik bir kullanıcı adı ve şifre (sağlayıcı kimliğinin tuzsuz MD5 hash'i) atanır. Parola girişi kapatılmadığı için, uzaktan kimliği öğrenen veya tahmin eden saldırganlar aynı kimlik bilgilerini yeniden oluşturabilir ve yönetici yetkisine sahip hesaplara erişim sağlayabilir. CVSS puanı 9.1 olduğu için bu açık kritik olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.